.NET 6/7中不暴露URL显示Azure Blob Storage容器内图片

核心思路就是不直接暴露Blob的原始URL，通过后端代理的方式把Blob数据流直接输出给前端。这样前端只能拿到后端返回的图片数据，看不到真实的Blob地址，同时用Managed Identity确保存储访问凭据的安全，全程不用硬编码密钥。

实现步骤 #

1. 配置权限（必做）

• 给你的.NET应用宿主（比如App Service、本地开发账户）分配Storage Blob Data Reader角色，权限范围精准到目标容器，遵循最小权限原则。
• 如果存储账户信息存在密钥保管库，还要给该身份分配Key Vault Secrets User角色，确保能安全读取存储账户名等配置。

2. 后端Handler实现（核心）

先安装必要的NuGet包：Azure.Storage.Blobs、Azure.Identity（用于Managed Identity访问存储）、Azure.Security.KeyVault.Secrets（如果从Key Vault读取配置）。

在Razor Page的后台代码里，实现返回图片流的Handler：

using Azure.Storage.Blobs;
using Azure.Identity;
using Microsoft.AspNetCore.Mvc;
using Microsoft.AspNetCore.Mvc.RazorPages;

public class SecureImageModel : PageModel
{
    private readonly BlobServiceClient _blobServiceClient;

    // 用Managed Identity初始化Blob服务客户端
    public SecureImageModel()
    {
        // 存储账户名可从appsettings或Key Vault读取
        string storageAccountName = "your-storage-account-name";
        string blobEndpoint = $"https://{storageAccountName}.blob.core.windows.net";
        
        // DefaultAzureCredential自动适配Managed Identity、本地开发账户等场景
        _blobServiceClient = new BlobServiceClient(new Uri(blobEndpoint), new DefaultAzureCredential());
    }

    public async Task<IActionResult> OnGetGetImage(string blobId)
    {
        // 第一步：校验用户身份，确保仅授权用户访问
        if (!User.Identity.IsAuthenticated)
        {
            return Unauthorized();
        }

        // 用业务ID映射真实Blob信息，避免暴露存储结构
        var (containerName, blobName) = GetBlobDetailsFromId(blobId);

        var blobClient = _blobServiceClient.GetBlobContainerClient(containerName).GetBlobClient(blobName);

        if (!await blobClient.ExistsAsync())
        {
            return NotFound();
        }

        // 获取Blob流和内容类型
        var blobStream = await blobClient.OpenReadAsync();
        var props = await blobClient.GetPropertiesAsync();
        string contentType = props.Value.ContentType ?? "image/jpeg";

        // 设置缓存控制，防止敏感图片被浏览器缓存
        Response.Headers.CacheControl = "no-cache, no-store, must-revalidate";

        // 返回文件流，前端img直接加载
        return File(blobStream, contentType);
    }

    // 示例：根据业务ID映射Blob信息（替换为你的业务逻辑）
    private (string ContainerName, string BlobName) GetBlobDetailsFromId(string blobId)
    {
        // 比如从数据库查询，此处为模拟逻辑
        return blobId switch
        {
            "user-123-avatar" => ("secure-avatars", "user123-profile.jpg"),
            _ => throw new ArgumentException("无效的图片ID")
        };
    }
}

3. 前端展示图片

在Razor页面里，用img标签指向Handler，传递加密/映射后的图片ID，不要直接传Blob名称：

@page
@model SecureImageModel

<!-- 用业务ID替代真实Blob信息，避免暴露存储结构 -->
<img src="?handler=GetImage&blobId=user-123-avatar" alt="用户头像" />

额外安全加固建议 #

• 隐藏存储结构：不要把容器名、Blob名直接放在URL参数里，用业务ID做映射，防止攻击者枚举你的Blob资源。
• 细粒度授权：除身份验证外，还要根据业务逻辑判断用户是否有权访问该图片（比如仅允许用户查看自己的头像）。
• 内容校验：返回流前校验Blob的内容类型，确保仅返回图片格式，防止恶意文件被输出。
• 限制请求方式：Handler仅允许GET请求，避免其他请求类型的滥用。

内容的提问来源于stack exchange，提问作者Sindrin